iptables规则下发的过程

 背景

        最近在学习研究Linux内核NAT处理逻辑（Linux内核NAT处理），发现要想理解NAT的处理必须弄清iptables规则在Linux 内核中是如何维护的，进而想要知道iptables规则配置从用户态到内核态，一步步是如何将iptables规则下发到内核的。

过程

        从下发流程看大致分为以下几步：

        1）用户态通过应用层CLI命令配置

        2）用户态CLI命令参数解析，转换成iptables 命令配置形式通过system下发

        3）iptables内部建立与内核socket通信，通过setsockopt向将命令下发到内核

        4) 内核sockopts（应用层和内核通信的一种方式）处理，将iptables规则存入对应的表，对应的链中。

        第一步可以有不同的实现，我们从iptables规则配置开始讲起。

iptables规则配置

        众所周知，iptables规则通过“四表五链”维护，四表：raw表，mangle表，filter表，nat表；五链对应netfilter框架中的5个hook点，即：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING；

 iptables命令配置参数

参数	含义、用法
-A chain	在指定链中添加一条规则
-D chain /chain rulenum	从指定链中删除匹配的规则
-I chain [rulenum]	在指定链的指定规则前插入一条规则，默认在第1条前插入